Mengonfigurasi penyedia OIDC untuk Identity Service GKE

Dokumen ini ditujukan untuk administrator platform, atau siapa pun yang mengelola penyiapan identitas di organisasi Anda. Bagian ini menjelaskan cara mengonfigurasi penyedia identitas OpenID Connect (OIDC) pilihan Anda untuk GKE Identity Service.

Mendaftarkan GKE Identity Service dengan penyedia Anda

Penyiapan GKE Identity Service memerlukan satu ID dan rahasia klien dari penyedia identitas Anda. ID dan rahasia ini digunakan oleh GKE Identity Service saat terhubung ke penyedia sebagai bagian dari alur autentikasi untuk pengguna. Untuk mendapatkannya, Anda perlu mendaftarkan GKE Identity Service dengan penyedia Anda sebagai aplikasi klien, dengan mengikuti prosedur standar untuk penyedia yang Anda pilih. Anda dapat menemukan beberapa detail pendaftaran khusus untuk penyedia populer di bagian berikutnya.

Untuk URL pengalihan, tentukan nilai berikut:

  • https://console.cloud.google.com/kubernetes/oidc adalah URL pengalihan untuk konsol Google Cloud .
  • http://localhost:PORT/callback adalah URL pengalihan untuk gcloud CLI. Anda dapat menentukan nomor port apa pun yang lebih tinggi dari 1024.
  • APISERVER-URL:11001/finish-login adalah URL pengalihan jika Anda memilih untuk melakukan autentikasi menggunakan akses FQDN. Ganti APISERVER-URL dengan FQDN server Kubernetes API cluster. Misalnya, jika APISERVER-URL adalah https://apiserver.company.com, maka redirect_uri harus https://apiserver.company.com:11001/finish-login.

Simpan ID dan rahasia klien yang Anda dapatkan dari langkah pendaftaran. Bagikan detail ini kepada administrator cluster yang perlu menyiapkan Layanan Identitas GKE.

Informasi penyiapan penyedia identitas

Bagian ini memberikan informasi tambahan khusus penyedia untuk mendaftarkan Layanan Identitas GKE. Jika penyedia Anda tercantum di sini, daftarkan Layanan Identitas GKE ke penyedia Anda sebagai aplikasi klien menggunakan petunjuk berikut.

Microsoft AD FS

Gunakan serangkaian wizard pengelolaan AD FS untuk mengonfigurasi server AD FS dan database pengguna AD Anda.

  1. Buka panel pengelolaan AD FS.

  2. Pilih Grup Aplikasi > Tindakan > Tambahkan Grup Aplikasi.

  3. Pilih Aplikasi Server. Masukkan nama dan deskripsi pilihan Anda. Klik Next.

  4. Masukkan dua URL pengalihan Anda, seperti yang dijelaskan di atas. Anda akan diberi client ID. Dengan cara ini, server AD FS mengidentifikasi GKE Identity Service. Simpan ID klien untuk nanti.

  5. Pilih Buat rahasia bersama. GKE Identity Service menggunakan rahasia ini untuk melakukan autentikasi ke server AD FS. Simpan rahasia untuk nanti.

Mengonfigurasi grup keamanan (opsional)

  1. Di pengelolaan AD FS, pilih Relying party trusts > Add a new relying party trust.

  2. Pilih Claims aware, lalu klik Start.

  3. Pilih Masukkan data tentang pihak tepercaya secara manual.

  4. Masukkan nama tampilan.

  5. Lewati dua langkah berikutnya.

  6. Masukkan ID Kepercayaan pihak tepercaya. Saran: token-groups-claim.

  7. Untuk Kebijakan kontrol akses, pilih Izinkan semua orang. Artinya, semua pengguna membagikan informasi grup keamanan mereka dengan gcloud CLI dan konsolGoogle Cloud .

  8. Klik Selesai.

Memetakan atribut LDAP ke nama klaim

  1. Di pengelolaan AD FS, pilih Relying party trusts > Edit claim issuance policy.

  2. Pilih Send LDAP Attributes as Claims, lalu klik Next.

  3. Untuk Claim rule name, masukkan groups.

  4. Untuk Attribute store, pilih Active Directory.

  5. Di tabel, untuk LDAP Attribute, pilih:

    • AD FS versi 5.0 dan yang lebih baru: Token-Groups Qualified by Domain name
    • AD FS versi sebelum 5.0: Token Groups - Qualified Names

  6. Untuk Outgoing Claim Type, pilih:

    • AD FS versi 5.0 dan yang lebih baru: Grup
    • AD FS versi sebelum 5.0: groups

  7. Klik Selesai, lalu klik Terapkan.

Mendaftarkan GKE Identity Service dengan AD FS

Buka jendela PowerShell dalam mode Administrator, lalu masukkan perintah ini:

Grant-AD FSApplicationPermission `
  -ClientRoleIdentifier "[CLIENT_ID]" `
 -ServerRoleIdentifier [SERVER_ROLE_IDENTIFIER] `
  -ScopeName "allatclaims", "openid"

Ganti kode berikut:

  • [CLIENT_ID] adalah ID klien yang Anda peroleh sebelumnya.

  • [SERVER_ROLE_IDENTIFIER] adalah ID klaim yang Anda masukkan sebelumnya. Ingat bahwa ID yang disarankan adalah token-groups-claim.

Azure AD

Mendaftarkan klien OAuth dengan Azure

Untuk mendaftarkan klien OAuth dengan Azure, selesaikan langkah-langkah di link berikut:

  1. Jika Anda belum melakukannya, Siapkan tenant di Azure Active Directory.

  2. Daftarkan aplikasi dengan platform identitas Microsoft.

  3. Buka halaman App registrations di Azure Portal, lalu pilih aplikasi Anda berdasarkan nama.

  4. Buat Rahasia Klien.

    1. Klik Tambahkan sertifikat atau secret di bagian Dasar-Dasar. Daftar sertifikat dan daftar secret akan muncul.

    2. Klik New client secret. Beri nama secret Anda, lalu klik Tambahkan.

    3. Simpan Nilai* rahasia di lokasi yang aman. Anda tidak akan dapat mengambilnya setelah Anda menutup atau memuat ulang halaman.

  5. Tambahkan URI pengalihan.

    1. Kembali ke halaman aplikasi.

    2. Pilih Tambahkan URI Pengalihan di bagian Dasar-Dasar. Halaman Authentication akan muncul.

    3. Pilih Tambahkan platform, dan panel bernama Konfigurasi platform akan muncul di sebelah kanan.

    4. Pilih Web. Di bagian Redirect URIs, masukkan http://localhost:PORT/callback untuk alur login gcloud CLI. Pilih PORT yang lebih besar dari 1024. Klik tombol Configure.

    5. Klik tombol Add URI untuk menambahkan URI lain, https://console.cloud.google.com/kubernetes/oidc, untuk login konsol Google Cloud .

    6. Klik tombol Simpan di bagian atas.

Sekarang pendaftaran klien Anda sudah selesai. Anda harus memiliki info berikut untuk dibagikan kepada administrator cluster:

  • URI Penerbit: https://login.microsoftonline.com/TENANT_ID/v2.0. ID tenant ditampilkan sebagai Directory (tenant) ID di halaman Aplikasi di portal Azure.

  • Client ID: Client ID ditampilkan sebagai Application (client) ID di halaman Aplikasi di portal Azure.

  • Rahasia Klien: Anda akan mendapatkannya di langkah terakhir. Anda tidak akan dapat mengambilnya jika Anda menutup halaman setelah pembuatan rahasia. Pastikan untuk menyimpan nilai di lokasi yang aman (atau buat rahasia baru jika Anda tidak dapat melacak rahasia sebelumnya).

Penyiapan lanjutan untuk Azure AD

Pertimbangkan untuk menggunakan penyiapan lanjutan ini hanya jika Anda ingin menyiapkan cluster dengan kebijakan otorisasi berbasis grup Azure AD yang pengguna clusternya tergabung dalam lebih dari 200 grup Azure AD. Penyiapan lanjutan untuk Azure AD mendukung platform berikut:

  • Cluster GKE lokal (VMware dan bare metal): Dari GKE Enterprise 1.14
  • Cluster Anthos di AWS: Dari GKE Enterprise 1.14 (Kubernetes versi 1.25 atau yang lebih baru)
  • Cluster Anthos di Azure: Dari GKE Enterprise 1.14 (Kubernetes versi 1.25 atau yang lebih baru)
  • Cluster Anthos di AWS (generasi sebelumnya): Dari GKE Enterprise 1.14

Sebelum memulai, pastikan setiap pengguna memiliki alamat email terkait yang dikonfigurasi sebagai ID mereka di Azure AD. GKE Identity Service menggunakan email pengguna untuk menyatakan identitas pengguna dan mengautentikasi permintaan.

Anda harus memastikan bahwa klien yang Anda daftarkan di bagian sebelumnya telah mendelegasikan izin untuk mendapatkan informasi pengguna dan grup dari Microsoft Graph API. Izin ini memungkinkan plugin GKE Identity Service mengakses endpoint Microsoft Graph API tempat informasi grup diambil. Tanpa langkah ini, Layanan Identitas GKE tidak dapat mencantumkan grup pengguna, dan kebijakan otorisasi RBAC berdasarkan grup tidak akan berfungsi seperti yang diharapkan.

Anda harus memiliki izin admin global atau admin organisasi untuk melakukan langkah penyiapan ini.

  1. Login ke portal Azure.
  2. Jika Anda memiliki akses ke beberapa tenant, gunakan filter Directory + subscription di menu atas untuk memilih tenant yang berisi pendaftaran aplikasi klien Anda.
  3. Pilih Azure Active Directory - App registrations, lalu pilih aplikasi klien Anda.
  4. Pilih API permissions - Add a permission - Microsoft Graph - Delegated permissions.
  5. Di tab Group, centang Group.Read.All. Di tab Pengguna, centang User.Read.All.
  6. Klik Tambahkan izin untuk menyelesaikan proses.
  7. Berikan izin atas nama semua pengguna dengan mengklik tombol Berikan izin admin untuk.... Anda dapat menemukan informasi selengkapnya tentang pemberian izin admin di Selengkapnya tentang izin API dan izin admin.

Bagikan detail penyedia identitas

Bagikan informasi penyedia berikut kepada administrator cluster Anda untuk penyiapan cluster:

  • URI penerbit penyedia
  • Rahasia klien
  • ID klien
  • URI pengalihan dan port yang Anda tentukan untuk gcloud CLI
  • Kolom nama pengguna (klaim) yang digunakan penyedia Anda untuk mengidentifikasi pengguna dalam tokennya (default yang diasumsikan saat mengonfigurasi cluster adalah sub)
  • Kolom nama grup (klaim) yang digunakan penyedia Anda untuk menampilkan grup keamanan, jika ada.
  • Cakupan atau parameter tambahan yang khusus untuk penyedia Anda, seperti yang dijelaskan di bagian sebelumnya. Misalnya, jika server otorisasi Anda meminta izin untuk autentikasi dengan Microsoft Azure dan Okta, admin cluster harus menentukan prompt=consent sebagai parameter. Jika Anda telah mengonfigurasi ADFS untuk memberikan informasi grup keamanan, parameter tambahan yang relevan adalah resource=token-groups-claim (atau apa pun yang Anda pilih sebagai ID kepercayaan pihak tepercaya).
  • (Opsional) Jika penyedia Anda tidak menggunakan sertifikat yang ditandatangani oleh otoritas sertifikat publik (misalnya, jika Anda menggunakan sertifikat yang ditandatangani sendiri), Anda akan memerlukan sertifikat (atau rantai sertifikat) penyedia identitas. Sertifikat (atau rantai sertifikat) setidaknya harus berisi sertifikat root (rantai parsial diterima, selama rantai tersebut berkesinambungan kembali ke sertifikat root). Saat memberikan nilai ini di ClientConfig, nilai tersebut harus diformat sebagai string berenkode base64. Untuk membuat string, gabungkan sertifikat berenkode PEM lengkap menjadi satu string, lalu lakukan encoding base64.

Anda dapat melihat daftar lengkap parameter konfigurasi GKE Identity Service di Mengonfigurasi cluster.

Langkah berikutnya

Administrator cluster Anda dapat menyiapkan GKE Identity Service untuk masing-masing cluster atau fleet.